¿Los nombres de archivo representan un riesgo para la seguridad?
Tenemos un servidor web, los usuarios pueden cargar archivos en el servidor. Los archivos se almacenan temporalmente en el servidor y luego se mueven a S3. Los nombres de archivo se registran en nuestra base de datos MySQL y, finalmente, se incluyen en HTML & CSS que nuestro servidor web produce. Los nombres de archivo nunca se cambian de lo que el usuario carga.
En términos de seguridad, ¿existe alguna vulnerabilidad que pueda ser explotada con un simple nombre de archivo? ¿Deberíamos estar cambiando los nombres de archivos del contenido cargado, o es seguro simplemente almacenar los nombres de archivos como están?